Hadoop Yarn REST API 未授权漏洞利用挖矿分析

一、 背景

5月5日腾讯云安全团队曾针对攻击者利用Hadoop Yarn资源管理系统REST API未授权漏洞对服务器进行攻击,攻击者可以在未授权的情况下远程执行代码的安全问题进行预警,在预警的前后我们曾多次捕获相关的攻击案例,其中就包含利用该问题进行挖矿,我们针对其中一个案例进行分析并提供响应的安全建议和解决方案。

阅读全文〉

Linux Redis自动化挖矿感染蠕虫分析及安全建议

一、 背景

自从Redis未授权问题获取Linux系统root权限的攻击方法的披露后,由于其易用性,利用该问题入侵Linux服务进行挖矿、扫描等的黑客行为一直层出不穷;而在众多利用该问题入侵服务器进行黑产行为的案例中,其中就存在一类利用该问题进行挖矿并且会利用pnscan自动扫描感染其他机器;该类攻击一直存在,不过在近期又呈现数量增加的趋势,在最近捕获到多次,我们针对其做下具体的分析。

阅读全文〉

跨站的艺术-XSS Fuzzing 的技巧

对于XSS的漏洞挖掘过程,其实就是一个使用Payload不断测试和调整再测试的过程,这个过程我们把它叫做Fuzzing;同样是Fuzzing,有些人挖洞比较高效,有些人却不那么容易挖出漏洞,除了掌握的技术之外,比如编码的绕过处理等,还包含一些技巧性的东西,掌握一些技巧和规律,可以使得挖洞会更加从容。

阅读全文〉

跨站的艺术-XSS入门与介绍

什么是XSS?

XSS全称跨站脚本(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故缩写为XSS,比较合适的方式应该叫做跨站脚本攻击。

跨站脚本攻击是一种常见的web安全漏洞,它主要是指攻击者可以在页面中插入恶意脚本代码,当受害者访问这些页面时,浏览器会解析并执行这些恶意代码,从而达到窃取用户身份/钓鱼/传播恶意代码等行为。

阅读全文〉

谈谈国内开源的 PoC 框架及 Pocsuite

先说明下,本文仅代表我自己的观点,从自己多年搞安全自动化、安全研究角度聊聊,先做声明,再写文章,怕自己控制不住自己情绪,哈哈。

在知乎上看到有人提问说对于我们开源 Pocsuite 怎么看(关于知道创宇的 Pocsuite 开源你怎么看? - 知道创宇),我做了回答,想想,写一篇文章,顺便谈谈我对 Pocsuite 开放的想法。

阅读全文〉

众测之sobug的体验

最近比较忙,每天差不多2、3点才睡觉,除了工作的事,还在整理自己的一些东西,包括一些想法、网站以及自己的知识点,不过还是抽出一些时间体验并且真正的以白帽子的身份参加了下sobug众测的两个项目,今天来跟大家聊聊。(如果不懂众测是什么的同学可以先百度了解下)

真正认识冷总应该在今年参加syscan360会议的那会,冷总加了我微信,然后本来要准备见面聊聊天,前后两三次都不正好,没聊成,不过syscan360当天晚上微信上与冷总聊了众测以及sobug的一些自己的想法,相聊盛欢也不知不觉到了2、3点,难得的没有做其他事,之后也想着找时间正正式式参加下,所以就有了后面的参与和今天这篇文章。

转眼从刚开始的乌云众测到现在,众测平台有乌云众测、sobug、漏洞盒子、360刃甲以及威客众测,算算也有5之数了。虽然都注册了帐号,但是其他家的众测倒是没真正的参与过,就不多做评价,只聊聊关于众测、关于sobug的一些事。   闲话扯了一堆,下面进入正题。

阅读全文〉

最近移动安全三两事

中秋马上到了,先预祝大家中秋快乐。

估计这两天大家都在求视频和照片的下载地址,源于好莱坞艳照门事件。

今天一则近百名好莱坞女星 iCloud 账户遭黑客攻击导致裸照泄露的新闻将 iCloud 的安全推倒风口浪尖,其中泄露的女明星包括 Jennifer Lawrence(詹妮弗·劳伦斯)、Kirsten Dunst(克里斯丁·邓斯特)、Jennifer Lopez(珍妮弗·洛佩兹)、歌手Rihanna(蕾哈娜)、Scarlett Johansson(斯嘉丽·约翰逊)等等。

相信很多同学已经看过这些照片和视频了,我就不多加介绍了,然后大家也别求种子啥的,这个肯定是木有的(/抠鼻)。

阅读全文〉

通用跨站脚本攻击(UXSS)

有同学问,用百度搜索了下,发现国内相关介绍基本是没有,就写篇文章来介绍下。不过看到有现成的介绍,就拿来翻译修改下。 本文的内容主要翻译来自该文章,把一些没必要的话给删了,做了一些整理修改,然后补充一些案例。 http://www.acunetix.com/blog/web-security-zone/universal-cross-site-scripting-uxss/

什么是UXSS?

大家都知道有反射型XSS、存储型XSS、DomXSS,还有之前wooyun知识库上由gainover翻译的mXSS,也就是突变XSS(文章地址http://drops.wooyun.org/tips/956)。

可能比较少同学了解何谓UXSS,UXSS全称Universal Cross-Site Scripting,翻译过来就是通用型XSS,也叫Universal  XSS。

那么,UXSS由于前面提到的几种XSS有什么区别?

阅读全文〉